今週末の話題は、セキュリティが実際にどこで決まるかでした。2021年にコールドウォレットのファームウェアに書き込まれた乱数のバグが、5年後に攻撃者へ1,367 Bitcoinを渡しました。この日の残りの話題も、同じ急所に触れています。製品の下にある静かな設計上の選択が、その製品が何に耐えられるかを決めるのです。
- 4,585アドレスが流出、その背後にある5年前の鍵の欠陥は、いまも被害を出し続けている
- 休会まで残り1週間、CLARITY法が上院の日程から消えている
- イタリア銀行が200件のステーブルコイン送金のコストを調べ、コストは両端の交換手順にあると判明
- セキュリティ研究者に破られた後、2つのXRP Ledger機能が復帰
どれも、ニュースになるずっと前に作られたものに行き着きます。2021年のファームウェアの決定、まだ日程が組まれていない議場のために起草された法案、送金の両端にある交換手順、そして、誰かがその穴を見つけた後に取り下げられた修正案です。
5年前の鍵の欠陥が、4,585のBitcoinウォレットを空にした
出典: Decrypt（デクリプト）
Galaxy Researchは、2021年3月にリリースされたColdcardのファームウェアで作成されたウォレットから、約8,860万ドル相当のBitcoinがこれまでに流出したと述べています。このファームウェアは、乱数性が不足したシードフレーズを生成し、その結果の秘密鍵が推測可能になっていました。件数は、3つの波にわたる4,585アドレスで1,367 BTCで、直近の波では207.73 BTCが持ち去られました。
チームを率いるアレックス・ソーン氏は、この資金の移動を意図的かつプログラム的なものだと説明し、約600の攻撃者の疑いのあるアドレスを、連邦の捜査当局とコンプライアンス企業に通報しました。コインは、動く前に平均3.18年間手つかずのままでした。ソーン氏は、影響を受けるアドレスにまだBitcoinを保有している人に、直ちに移すよう指示しています。
Zyptoの見解：ウォレットが作られる瞬間の乱数性は、その後に重ねられるあらゆる保護の上流にあり、だからこそ、これは後から防ぐのがとても難しいのです。自分の鍵がどのように生成されたかを尋ね、あなたが鍵を託すどのセルフカストディウォレットに対しても、尋ね続けてください。
CLARITY法が上院の日程から消えている
出典: H.R. 3633として下院を通過したデジタル資産市場明確化法（CLARITY法）は、月曜日の上院の本会議日程には載っておらず、日程には歳出法案の採決だけが載っています。7月31日までに、上院の記録に討論終結の申し立ては提出されていませんでした。
算術はぎりぎりです。水曜日までに討論終結の申し立てがあれば、金曜日の採決が可能になり、上院は8月10日に休会に入ります。
7人の民主党交渉担当者は、現在の草案は不十分だと述べつつ、協議を続けることを約束しており、エリザベス・ウォーレン上院議員は改訂案に反対し、スーン多数党院内総務は、十分な民主党の支持が得られた場合にのみ、休会前に手続き上の採決を行うと述べています。
Zyptoの見解：市場構造のルールは、レジで暗号資産を受け付けるかどうかを決める事業者にもっとも強く響きますが、すでに受け付けている事業者は、法案を待つのをやめました。Zypto Payは今日、加盟店の支払いを法定通貨または100種類以上の暗号資産で決済しており、加盟店側の処理手数料は0%からです。
イタリア銀行が200件のステーブルコイン送金のコストを調査
出典: CoinDesk（コインデスク）
イタリア銀行の研究者は、イタリアとブラジル、アルゼンチン、日本、UAE、南アフリカを結ぶ双方向の10の回廊で、200件のUSDC送金を実施し、コストが0.3%からほぼ9%に及ぶことが分かりました。これは世界銀行の世界平均6.65%を下回りますが、両方を比較できた7つの回廊のうち、ステーブルコインがWiseを上回ったのは3つだけでした。
コストは両端に集中していました。大半を占めたのは取引所と通貨交換の手数料で、ブロックチェーン手数料はごくわずかでした。即時決済システムがある場所では、送金は20分以内に決済され、ない場所では1〜2営業日かかりました。
研究者たちは、二度読む価値のある一文を付け加えました。ステーブルコインを、現地通貨に戻さずに商品、家賃、学費に直接使えるなら、経済的な優位性は大幅に高まるというものです。
Zyptoの見解：その最後の一文は、仮定の話ではなく、ひとつの商品を描いています。暗号資産での請求書支払いは、ウォレットから直接、126か国の87,000以上の請求先に届き、銀行口座も、手動のオフランプも間に入りません。
2つのXRP Ledger機能が、研究者に破られた後に復帰
出典: CoinDesk（コインデスク）
xrpldのバージョン3.3.0が今週、5つの修正案を携えて登場する見込みで、それぞれ2週連続で80%のバリデータの承認が必要です。そのうち2つは、セキュリティバグのために取り下げられた後に復帰します。
Batchは、最大8件のアカウント間トランザクションをアトミックに実行し、すべてが成立するか、まったく成立しないかのどちらかにします。2026年2月にPranamya Keshkamat氏と企業のCantinaが、鍵を持たずに任意のアカウントからトランザクションを実行できてしまう署名検証の欠陥を見つけた後、バリデータはこれを拒否し、緊急リリースで非対応と表示されました。
完全な制御を渡さずに、範囲を絞った署名権限を与えるPermission Delegationは、2025年9月の開示で、あるアカウントが別のアカウントに手数料を課し、その残高を空にしかねないと示されたことを受けて、無効化されました。Confidential MPT、Sponsored Fees and Reserves、Dynamic MPTが投票の残りを占めます。
Zyptoの見解：自らの機能を取り下げ、問題と向き合い、再提案することをいとわないチェーンは、仕事の地味な部分をきちんと行っています。XRPLは、Zypto Appに搭載された20以上のチェーンのひとつであり、委任署名は、誰も鍵を手放すことなく事業者の決済フローを機能させる、まさにそうしたプリミティブです。
重要なポイント
- セキュリティは、作られる瞬間に決まります。その後のすべては、被害を測るものであり、防ぐものではありません。
- 立法のスケジュールは、普及より遅く動きます。そして暗号資産を受け付ける事業者は、すでにそれを待つのをやめています。
- お金をオンチェーンで動かすことは、おおむねチェーンのコストではなく、交換のコストになりました。
- 信頼を得るチェーンは、機能を取り下げ、直し、公然とやり直すことをいとわないチェーンです。
- 交換の手順に注目してください。日常の支出からそれを取り除いた者が、これらの調査が両端で見つけ続ける節約分を手にします。
